Een vereniging of stichting die persoonsgegevens verwerkt, moet de AVG toepassen, ook zonder personeel of winstoogmerk. De praktische vraag is hoe een bestuur dat doet met beperkte tijd en wisselende vrijwilligers. Begin bij de activiteiten: leden inschrijven, donaties verwerken, deelnemers begeleiden, foto’s publiceren en informatie met sponsoren delen hebben verschillende doelen. Eén algemene toestemming voor alles lost die verschillen niet op.
Deze gids helpt u de administratie en verantwoordelijkheden in te richten. De juridische stand is gecontroleerd op 28 september 2026, inclusief de gewijzigde Nederlandse regels voor minderjarigen. De AVG bepaalt de basis; de UAVG vult die op bepaalde punten aan. Een stichting heeft geen leden zoals een vereniging: onderscheid daarom haar donateurs, vrijwilligers en begunstigden in de administratie, in plaats van iedereen als lid te behandelen.
Begin met activiteiten en rollen
De organisatie die doelen en wezenlijke middelen vaststelt, is verwerkingsverantwoordelijke. Voor de gewone ledenadministratie is dat doorgaans de vereniging. Een secretaris die namens het bestuur werkt, wordt daardoor niet automatisch een afzonderlijke verantwoordelijke. Het bestuur moet wel regelen wat die persoon mag doen, welke gegevens nodig zijn en wie toezicht houdt op het gebruik.
Maak de feitelijke gegevensstromen zichtbaar. De trainer heeft mogelijk contactgegevens van een team nodig, maar geen overzicht van alle contributieachterstanden. De penningmeester heeft betalingsinformatie nodig, maar niet de volledige medische bijzonderheden die bij een kamp van belang zijn. Een stichting die voedselhulp organiseert, moet op dezelfde manier onderscheid maken tussen planning, financiële verantwoording en informatie over kwetsbare ontvangers.
Ook binnen een landelijke bond en lokale clubs zijn de rollen niet vanzelf gelijk. Onderzoek wie beslist over een gezamenlijke ledenregistratie, competities en sponsorcampagnes. Soms zijn partijen afzonderlijke verantwoordelijken, soms bepalen zij gezamenlijk een verwerking. Een landelijke overeenkomst of softwarelicentie beantwoordt die rolvraag niet op zichzelf. Leg de uitkomst vast voordat u bestanden structureel uitwisselt.
Kies een grondslag per doel
Voor noodzakelijke onderdelen van een lidmaatschap kan uitvoering van de overeenkomst relevant zijn. Artikel 6 lid 1 onder b AVG verlangt echter werkelijke noodzakelijkheid voor een overeenkomst waarbij de betrokkene partij is. Het feit dat een gegeven handig is of in de inschrijfvoorwaarden staat, maakt het nog niet noodzakelijk. Toets ook wie partij is bij de overeenkomst wanneer een ouder een kind inschrijft.
Voorbeeld: om een lid over een training te bereiken kan een contactmogelijkheid nodig zijn. Dat rechtvaardigt niet automatisch het verzamelen van een volledig adres, geboortedatum, beroep en gezinssamenstelling. Voor leeftijdscategorieën kan de geboortedatum wel relevant zijn, terwijl een verjaardagskalender een afzonderlijk doel heeft. Licht ieder veld toe en laat optionele gegevens daadwerkelijk optioneel.
Andere verwerkingen kunnen berusten op een wettelijke verplichting of op een onderbouwd gerechtvaardigd belang. Denk bij financiële stukken aan de toepasselijke fiscale verplichtingen. Bij gewone organisatiebelangen onderzoekt u doel, noodzakelijkheid en de belangen van de betrokkenen. Een vereniging kan niet voor ieder bericht willekeurig wisselen tussen toestemming en gerechtvaardigd belang zodra de gekozen route lastig wordt.
Een stichting die hulp verleent, verwerkt mogelijk gezondheidsgegevens of andere bijzondere gegevens. Dan is naast artikel 6 ook een toepasselijke uitzondering van artikel 9 nodig. Het goede doel van de stichting is op zichzelf geen uitzondering. Bepaal welke informatie noodzakelijk is voor de hulpverlening, welke wettelijke route geldt en hoe toegang en geheimhouding worden geregeld.
Ledenlijsten en sponsoren: wat de KNLTB-zaak werkelijk leert
De AP legde de KNLTB in 2019 oorspronkelijk een boete van €525.000 op voor verstrekking van ledengegevens aan sponsoren; de bekendmaking volgde op 3 maart 2020. Dit is niet simpelweg een boete die later ongewijzigd door de rechter is bevestigd. Het vervolg is juist relevant voor de keuze van een grondslag.
In C-621/22 van 4 oktober 2024 oordeelde het Hof van Justitie dat een commercieel belang onder voorwaarden een gerechtvaardigd belang kan zijn. De verwerking moet strikt noodzakelijk zijn en de belangen of grondrechten van leden mogen niet zwaarder wegen. Het Hof gaf beoordelingsaanwijzingen aan de nationale rechter, waaronder minder ingrijpende mogelijkheden en wat leden redelijkerwijs verwachten. Het stelde niet zelf een definitief Nederlands boetebedrag vast.
De AP berichtte vervolgens over beëindiging van de procedure na erkenning door de bond dat de verstrekking niet had mogen plaatsvinden. In haar eigen mededeling over die afspraak van 18 oktober 2025 kondigde zij een verlaging tot €250.000 verminderd met campagnekosten en eventuele andere maatregelen aan, met definitieve vaststelling uiterlijk in juni 2026. Voor deze gids is op de controledatum geen later definitief bedrag onafhankelijk bevestigd. Gebruik €525.000 daarom als oorspronkelijk opgelegde boete, niet als bewezen eindbedrag.
Voor uw vereniging begint de beslissing vóórdat een sponsor een bestand krijgt. Welk doel wil u bereiken, welke gegevens vraagt de sponsor en kan dezelfde financiering of communicatie zonder overdracht worden georganiseerd? Een sponsorvermelding in een eigen nieuwsbrief kan bijvoorbeeld minder ingrijpend zijn dan het verspreiden van adressen en telefoonnummers. Ook die eigen communicatie moet uiteraard aan de toepasselijke privacy- en marketingregels voldoen.
Wilt u op gerechtvaardigd belang steunen, werk dan de noodzakelijkheid en belangenafweging concreet uit. Kijk naar de doelgroep, verwachtingen, aard van aanbiedingen en mogelijke schade. Bij kinderen of kwetsbare ontvangers kan die afweging anders uitpakken. Een mogelijkheid om achteraf bezwaar te maken repareert geen ontbrekende grondslag voor de oorspronkelijke verstrekking.
Toestemming kan een passende route zijn wanneer leden een vrije, specifieke en geïnformeerde keuze krijgen. Maak duidelijk welke sponsor gegevens ontvangt en waarvoor. Lidmaatschap mag niet onnodig afhankelijk worden gemaakt van deelname aan reclame. Houd ook rekening met de afzonderlijke regels voor elektronische of telefonische direct marketing: een AVG-grondslag geeft niet automatisch toestemming voor ieder communicatiekanaal.
Foto’s: beslis over doel, publiek en verspreiding
Een herkenbare foto is doorgaans een persoonsgegeven. Maak onderscheid tussen het nemen van foto’s, plaatsing in een besloten clubomgeving en publicatie op een open sociaal netwerk. De kring van kijkers, vindbaarheid en mogelijkheid tot verdere verspreiding verschillen. Een toestemming voor het clubblad dekt daarom niet zonder meer een advertentie van een sponsor met dezelfde foto.
Toestemming is vaak een praktische keuze bij portretten en promotie, maar niet de enige denkbare AVG-grondslag voor iedere foto. Een vereniging die een verslag van een publiek evenement publiceert, kan afhankelijk van de omstandigheden een gerechtvaardigd belang onderzoeken. Zij moet dan werkelijk rekening houden met verwachtingen, bezwaren en gevolgen. Kinderen herkenbaar in een gerichte reclamecampagne opnemen vraagt een andere beoordeling dan een overzichtsbeeld van een optreden.
Bepaal vóór publicatie welke route u gebruikt en leg de gemaakte keuze vast. Bij toestemming moet weigeren of intrekken eenvoudig zijn. Gebruik afzonderlijke toestemmingskeuzes waar doelen verschillen. Informeer fotografen en websitebeheerders over die keuzes en controleer ook oudere afbeeldingen. Een afmelding in het ledenpakket helpt weinig als de vrijwillige beheerder van sociale media daarvan niets weet.
Minderjarigen: pas de regels van september 2026 toe
Buiten het specifieke toepassingsgebied van artikel 8 AVG verlangt artikel 5 lid 1 UAVG bij op toestemming gebaseerde verwerking onder zestien jaar toestemming van de wettelijke vertegenwoordiger. Voor rechtstreeks aan kinderen aangeboden diensten van de informatiemaatschappij geldt artikel 8 wanneer de verwerking op toestemming berust; de Nederlandse grens is ook daar zestien. Een online inschrijfformulier maakt iedere clubverwerking nog niet tot zo’n geval.
Sinds 1 september 2026 kan een kind vanaf twaalf volgens artikel 5 lid 3 UAVG zelf toestemming intrekken. Van twaalf tot zestien kunnen zowel het kind als de wettelijke vertegenwoordiger de rechten uit hoofdstuk III AVG uitoefenen; onder twaalf doet de vertegenwoordiger dat. Deze wijzigingen volgen uit Staatsblad 2026, 154 en het inwerkingtredingsbesluit. Richt uw fotoregistratie daarom niet zo in dat een veertienjarige alleen via een ouder kan aangeven een foto niet meer te willen laten gebruiken.
Houd twee hulpuitzonderingen uit elkaar. Overweging 38 AVG, uitgelegd in paragraaf 150 van de EDPB-richtsnoeren over toestemming, betreft preventieve of adviesdiensten rechtstreeks aan kinderen, ook online: ouderlijke toestemming is daarvoor niet vereist. Artikel 5 lid 6 UAVG bevat daarnaast de nationale uitzondering voor rechtstreeks en kosteloos aangeboden hulp- en adviesdiensten. Dat kan relevant zijn voor een jongerenstichting, maar vormt geen algemene uitzondering voor alle sport- of verenigingsactiviteiten. Bij medische behandeling kunnen bovendien de bijzondere regels van artikel 5 lid 7 gelden.
Vrijwilligers en leveranciers hebben verschillende verantwoordelijkheden
Geef vrijwilligers persoonlijke accounts met toegang die past bij hun taak. Spreek af waar bestanden worden opgeslagen en hoe zij incidenten doorgeven. Beperk gebruik van privé-e-mail, persoonlijke cloudmappen en gedeelde wachtwoorden wanneer die de controle op gegevens ondermijnen. Deze maatregelen volgen uit de risico’s van uw verwerking; niet iedere vereniging heeft daarvoor een omvangrijk technisch systeem nodig.
Leg vertrouwelijkheid en instructies begrijpelijk vast en bespreek ze bij de start. Een ondertekende geheimhoudingsafspraak kan daarbij nuttig zijn, maar vervangt geen toegangsbeheer of uitleg. Controleer bij vertrek of accounts, mailboxmachtigingen en gedeelde links zijn ingetrokken. Een bestuurswissel is ook het moment om de contactpersoon voor verzoeken en de eigenaar van ieder bestand bij te werken.
Externe dienstverleners zijn niet automatisch verwerkers. Een leverancier van ledenadministratiesoftware kan namens u verwerken; een bank kan voor eigen wettelijke taken zelfstandig verantwoordelijk zijn. Bij een verwerker moet artikel 28 worden geregeld met een schriftelijke overeenkomst of een andere bindende rechtshandeling naar Unie- of lidstatelijk recht, ook elektronisch mogelijk. Onze gids over verwerkersafspraken helpt de gewone contractuele situatie uitwerken.
Beoordeel ook subverwerkers, beveiliging, ondersteuning bij verzoeken en wat bij beëindiging gebeurt. De prijs zegt daar weinig over: een gratis tool kan voorwaarden en risico’s hebben die niet bij uw ledenbestand passen, terwijl betalen geen bewijs van naleving is. Test vooraf of u gegevens bruikbaar kunt exporteren en of de afspraken duidelijk maken hoe de leverancier gegevens teruggeeft of verwijdert.
Houd uw register en bewaartermijnen bruikbaar
De uitzondering op de registerplicht voor organisaties met minder dan 250 werknemers is beperkt. Zij geldt niet voor relevante verwerkingen die niet incidenteel zijn, waarschijnlijk risico’s voor rechten en vrijheden opleveren, of bijzondere gegevens dan wel gegevens uit artikel 10 omvatten. Een structurele ledenadministratie is niet incidenteel. Beoordeel activiteiten afzonderlijk; de omvang van het vrijwilligersbestand geeft geen algemene vrijstelling.
Een verwerkingsregister moet de vereiste informatie bevatten, zoals doelen, categorieën betrokkenen en gegevens, ontvangers en waar mogelijk bewaartermijnen en beveiligingsmaatregelen. Het is verstandig ook de grondslagen en verantwoordelijke contactpersonen te verbinden aan die activiteiten. Zo hoeft een opvolgend bestuurslid de juridische keuzes niet uit losse e-mails te reconstrueren.
Maak bewaartermijnen afhankelijk van het doel. Financiële bewijsstukken kunnen langer nodig zijn dan een actieve mailinglijst of een noodcontact voor een afgerond kamp. Een fiscale bewaarplicht voor bepaalde stukken rechtvaardigt niet het onbeperkt bewaren van alle informatie over oud-leden. Regel wie verwijdert en hoe u voorkomt dat een oude export later opnieuw in het systeem belandt.
Informeer op het juiste moment en behandel verzoeken zorgvuldig
Vertel bij het verzamelen van gegevens wie verantwoordelijk is, waarom u gegevens gebruikt, op welke grondslag, met wie u deelt en hoe lang u bewaart of hoe u dat bepaalt. Vermeld de toepasselijke rechten en klachtmogelijkheid. Een privacyverklaring op een website helpt alleen als mensen de benodigde informatie op het juiste moment daadwerkelijk krijgen. Bij gegevens uit andere bronnen moet u ook artikel 14 beoordelen.
Maak de uitleg passend bij de doelgroep. Een jeugdvereniging moet kinderen in begrijpelijke taal bereiken; een stichting met deelnemers die moeilijk lezen kan aanvullende mondelinge uitleg nodig hebben. Gebruik de privacyverklaring niet als een algemene toestemming voor alle beschreven activiteiten. Informeren en toestemming vragen zijn verschillende handelingen, ook als ze in hetzelfde aanmeldproces voorkomen.
Richt één bereikbaar contactpunt in voor inzageverzoeken, correctie, bezwaar en verwijdering. Reageer zonder onnodige vertraging en in beginsel binnen één maand; de AVG staat onder voorwaarden verlenging toe, waarover u binnen die eerste maand informeert. Als u niet handelt, vermeldt u uiterlijk binnen één maand de redenen en de mogelijkheden voor klacht en beroep. Vraag alleen aanvullende identiteitsinformatie wanneer daar redelijke twijfel en een passende noodzaak voor bestaat.
Verwijdering is geen onvoorwaardelijk recht op vernietiging van het hele dossier. Naast wettelijke bewaarplichten kan bijvoorbeeld noodzakelijke bewaring voor rechtsvorderingen relevant zijn. Leg uit welke gegevens u wel verwijdert en welke beperkte gegevens waarom blijven bestaan. Een lopend contributiegeschil rechtvaardigt niet automatisch het blijven sturen van nieuwsbrieven aan een voormalig lid.
Een datalek vraagt een besluit, ook bij een kleine club
Een verkeerd geadresseerde ledenlijst, verloren laptop of gehackt account kan een inbreuk in verband met persoonsgegevens zijn. Beperk eerst verdere verspreiding, beveilig het account en leg vast wat bekend is. Onderzoek de gevolgen voor personen en informeer degene die namens de organisatie de melding beoordeelt. Wacht daarmee niet totdat het voltallige bestuur weer vergadert.
Artikel 33 verlangt melding aan de bevoegde toezichthouder zonder onnodige vertraging en, waar mogelijk, binnen 72 uur na kennisneming, tenzij risico voor rechten en vrijheden onwaarschijnlijk is. Bij een latere melding legt u de vertraging uit. Documenteer ieder datalek, ook als u gemotiveerd niet meldt. Bij waarschijnlijk hoog risico geldt daarnaast artikel 34 over informatie aan betrokkenen, met zijn eigen voorwaarden en uitzonderingen. De gids datalek melden bij de AP behandelt de meldroute.
Een praktische overdracht tussen besturen bevat daarom meer dan een wachtwoord. Zorg voor actuele contactpersonen, lopende verzoeken, incidentbesluiten, leveranciersafspraken en een overzicht van toegangen. Daarmee kan een nieuwe vrijwilliger zien welke taak voorligt en welke afspraken daarbij horen. Die continuïteit maakt privacyzorg uitvoerbaar, ook als de mensen achter de administratie veranderen.